同一个大脑，两种人格：Anthropic 安全路由器上线，同日 CNCERT 警告技能包越狱——AI 安全从「说不」走向「换人答」

6 月 9 日深夜（美东时间），两条安全线同时收紧。

一条在模型层：Anthropic 发布 Claude Fable 5 和 Mythos 5——同一底层模型，两张面孔，中间隔着一个「安全路由器」。另一条在用户层：国家互联网应急中心（CNCERT）发布警告，部分智能体技能包（Skills）以「越狱」「挖矿」名义传播，可能让普通用户被动卷入违法活动。

两条线从相反方向夹击同一个命题：AI 越强大，安全的解法越不能是简单的「说不」。

一个模型，两种人格

Fable 5 和 Mythos 5 共享完全相同的底层权重。区别全在一个安全分类器上。

当用户向 Fable 5 发出请求时，分类器实时判断该请求是否涉及网络安全、生物化学、或模型蒸馏三类高风险领域。一旦命中，回答的不是 Fable 5，而是自动降级至 Opus 4.8。Anthropic 的数据显示，超过 95% 的日常请求不会触发分类器，这些场景下 Fable 5 与 Mythos 5 性能完全一致。需要区分的是：在 Claude 消费端应用中，触发护栏时用户会收到回退通知并仍由 Opus 4.8 回答；而在 Messages API 中，默认行为是直接拒绝请求，开发者需主动启用回退机制。

这个设计的精妙之处在于：它不再试图让一个模型「既安全又强大」，而是承认两者存在张力，用架构手段在运行时动态调度。能力不缩水，风险被隔离——至少理论上是如此。

Mythos 5 则走另一条路。网络安全护栏被移除，通过 Project Glasswing 仅向政府网络防御者开放；生物化学护栏也将通过可信访问计划，面向经筛选的研究人员开放。Anthropic 内部数据显示，Mythos 5 帮助蛋白质设计专家将药物设计流程部分环节效率提升约 10 倍。

定价方面，Fable 5 为 $10/$50（输入/输出每百万 token），正好是 Opus 4.8 的两倍，也是目前市场上最贵的前沿模型之一。订阅用户（Pro、Max、Team 及席位制 Enterprise）6 月 22 日前免费体验，6 月 23 日起从订阅中移除，需按额度消耗，Anthropic 计划后续恢复为标准订阅功能。

基准数据：量变还是质变？

抛开安全机制，Fable 5 的能力数据本身值得单独审视：

SWE-bench Pro 上 80.3% 是一个标志性数字——这是该基准首次突破 80%，领先第二名 Opus 4.8 整整 11 个百分点。但更有说服力的是 FrontierCode Diamond：在一个天花板约 30% 的硬基准上，Fable 5 拿到 29.3%，而 Opus 4.8 只有 13.4%，GPT-5.5 仅有 5.7%。在一个区分度最高的基准上拉开 2-5 倍差距，这是今年最大的单轴前沿领先。

⚠️ 需要注意的是，以上基准成绩取 Mythos 5 / Fable 5 中较高值报告。在安全分类器触发的领域（网络安全、生物化学、蒸馏），Fable 5 的实际表现会回退至接近 Opus 4.8 水平。

不过需要注意：以上是安全分类器未触发时的成绩。Anthropic 也承认，在 Terminal-Bench 上约 20.9% 的测试轨迹触发了安全回退，实际表现低于原始 Fable 5 能力。这意味着在涉及系统操作等敏感场景中，Fable 5 的有效能力介于原始数据和 Opus 4.8 之间。

30 天数据保留：隐私换安全

伴随此次发布，Anthropic 宣布对所有 Mythos 级别模型流量强制执行 30 天数据保留，覆盖第一方和第三方平台。这些数据不会用于训练新模型，仅用于检测新型越狱攻击和跨请求攻击（如 Best-of-N 越狱），并记录所有人工访问行为，30 天后删除。

需要说明的是，这一政策对消费者计划（Free、Pro、Max）影响有限——Anthropic 已在这些平台上为安全目的保留数据。主要受影响的是此前签署零数据保留（ZDR）协议的企业客户：通过 Claude Console、Claude Enterprise 或 AWS Bedrock / Google Cloud Agent Platform / Microsoft Foundry 使用 ZDR 的组织，将不再享有即时数据删除。Anthropic 提供了客户管理加密密钥和访问透明审计日志等补偿措施，但协议条款的变更已引发部分企业客户的强烈反弹。

这是 Anthropic 第一次为安全目的明确牺牲隐私承诺。在 AI 安全圈子里，这个决定的象征意义可能比模型本身更大——它承认了：当模型足够强大，仅靠前置防护不够，还需要事后审计能力。 对于长期将「不保留用户数据」作为品牌核心的 Anthropic，这是一个不可逆的转变。

同日，另一条线：CNCERT 警告 Skills 越狱与挖矿

就在 Anthropic 从模型层搭建安全路由的同一天，CNCERT 从用户端拉响了警报：部分智能体技能包（Skills）以「大模型越狱」「挖矿赚钱」名义公开传播，可能导致用户账号被封、设备被占用挖矿，甚至被动卷入洗钱等违法活动。

这不是一个新问题，但它是首次被国家级安全机构正式定性。今年 4 月，我们曾分析过 MCP 协议的架构级 RCE 漏洞（见《MCP 协议的 RCE 漏洞不是 Bug，是 By Design》）。这次 CNCERT 警告的 Skills 风险，本质上是同一个问题的用户侧映射：当 AI 的能力边界由第三方扩展组件定义，攻击面就不再只存在于模型本身，而是分散到了整个 Agent 生态的供应链上。

Anthropic 用安全路由器在模型层做精准拦截，CNCERT 在生态层提醒用户审查 Skills 来源。两条线指向同一个结论：AI 安全正在从「模型对齐」单一维度，扩展为「模型-路由-生态」三层防护体系。

安全路由器的隐忧

Anthropic 的安全路由方案并非没有争议。

开源模型研究员 Nathan Lambert 直言不讳：Anthropic 把安全包装成产品特性，但懂技术的人看得出来，这不过是一种商业策略。他更尖锐地指出，在用户不知情的情况下静默削弱模型输出质量（不只是回退到 Opus 4.8，还包括通过提示词过滤、转向向量等方式暗中降低敏感技术领域的输出质量），等同于「人为制造的对齐失调」——安全规则的实质是防止开源社区进行技术蒸馏，却严重妨碍了正常的学术研究。更实质的担忧有两层：

误判怎么办？ 95% 的请求不触发分类器，意味着约 5% 会。在 Terminal-Bench 上 20.9% 的回退率已经暗示，涉及系统操作、代码执行等合法但敏感的开发场景可能被误判。一个安全研究员用 Fable 5 审计代码，会不会被路由到 Opus 4.8 而得到次优结果？

谁来审计路由器？ 安全分类器本身是一个不透明的判别系统。它的训练数据、阈值设定、误判率——这些信息 Anthropic 没有完全公开。如果路由器存在系统性偏见（例如对某些语言或领域过度敏感），用户几乎无法感知，更无法纠正。Anthropic 的 System Card 披露了部分红队测试结果（外部 Bug Bounty 超 1000 小时未发现通用越狱），但分类器本身的误报率/漏报率仍缺乏第三方独立审计。

还有一个被忽视的维度：蒸馏护栏的双重标准。 Anthropic 的蒸馏分类器据估计影响约 0.03% 的流量，但其判断标准不透明——什么样的请求会被识别为”蒸馏尝试”？如果用户在 API 层进行合规的模型能力评测，是否会意外触发这一护栏？这种不确定性本身就在制造信任成本。

判断

Fable 5/Mythos 5 的发布，标志着一个新范式的确立：前沿模型的安全不再靠削弱模型能力，而是靠运行时的能力路由。 这比「安全对齐」更灵活，比「拒绝回答」更实用，但它也引入了新的信任问题——对路由器的信任。

同日 CNCERT 的警告则提醒我们：模型安全只是防线的一环。当 Agent 的能力由 Skills 定义、由工具调用扩展，攻击面就从模型权重转移到了供应链。未来的 AI 安全架构，必须在模型路由、生态审核和事后审计三个层面同时展开。

这不是一个可以靠单一模型公司解决的问题。